비밀번호 관리앱 추천, 유출사고 반복되는 지금 국내에서 뭘 써야 할까

또 유출됐다는 뉴스, 이제 익숙하지 않으신가요

최근 1~2년 새 국내에서 개인정보 유출 소식이 끊이지 않았습니다. 2025년 4월 SK텔레콤 유심(USIM) 정보 유출, 같은 해 6월 쿠팡, 8월 KT, 11월 넷마블, 12월 신한카드까지 — 업종을 가리지 않고 대형 서비스에서 사고가 이어졌습니다. 이 정도로 반복되면 내 정보도 어딘가엔 이미 유출돼 있을 가능성이 크다고 보는 게 현실적입니다.

문제는 유출 자체가 아니라 그 다음입니다. 회사가 뚫리는 건 이용자가 막을 수 없는 일이지만, 유출된 정보가 실제 피해로 이어지느냐는 다릅니다. 그 갈림길은 대개 같은 비밀번호를 여러 사이트에 재사용하고 있느냐에서 갈립니다.

왜 비밀번호 재사용이 위험한가 — 크리덴셜 스터핑

공격자가 한 서비스에서 유출된 이메일·비밀번호 조합을 손에 넣으면, 이를 다른 수백 개 사이트에 자동으로 대입해보는 방식으로 계정을 탈취합니다. 이런 공격을 크리덴셜 스터핑(credential stuffing)이라고 부릅니다. 쇼핑몰에서 유출된 비밀번호를 은행 사이트에서도 그대로 쓰고 있었다면, 쇼핑몰 유출이 곧 은행 계정 탈취로 이어질 수 있다는 뜻입니다.

방어법은 간단합니다. 계정마다 완전히 다른 비밀번호를 쓰면, 한 곳이 유출돼도 다른 계정은 안전합니다. 문제는 사이트마다 다른 복잡한 비밀번호를 사람이 전부 기억할 수 없다는 것이고, 비밀번호 관리앱은 이 기억을 대신 해주는 도구입니다.

내 정보, 유출됐는지 먼저 확인하는 법

비밀번호를 바꾸기 전에, 내 이메일 주소가 실제로 과거 유출 사고에 포함됐는지부터 확인할 수 있습니다. Have I Been Pwned(haveibeenpwned.com)는 지금까지 알려진 대형 유출 데이터베이스에서 특정 이메일 주소가 등장했는지 무료로 조회해주는 서비스입니다.

1. haveibeenpwned.com에 접속합니다.
2. 본인 이메일 주소를 입력해 조회합니다.
3. "Pwned" 결과가 나오면 어떤 유출 사고에 포함됐는지, 어떤 정보(비밀번호·이메일 등)가 함께 노출됐는지 확인합니다.
4. 노출된 계정과 같은 비밀번호를 다른 곳에서도 쓰고 있다면 그 비밀번호부터 즉시 바꿉니다.

다만 이 서비스는 한국어를 지원하지 않고, "유출 없음"으로 나와도 아직 공개되지 않은 유출까지 잡아내지는 못합니다. 확인 결과와 무관하게 비밀번호 관리앱으로 전환하는 것이 가장 확실한 대응입니다.

그래서 국내에서는 뭘 써야 하나

비밀번호 관리앱이라고 하면 해외 매체는 흔히 비트워든·1Password 같은 전문 앱들을 나란히 비교합니다. 하지만 실제로 뭘 골라야 하느냐는 이미 어떤 기기를 쓰고 있느냐에 따라 답이 달라집니다. 국내에서 자주 언급되는 선택지는 성격이 다른 두 그룹으로 나뉩니다.

삼성패스 — 갤럭시 사용자라면 이미 있다

삼성패스는 삼성 계정과 연동되는 완전 무료 인증·비밀번호 관리 기능입니다. 갤럭시 스마트폰의 지문·얼굴 인식과 연동돼 별도 설치나 결제 없이 바로 쓸 수 있고, 네이버·쿠팡처럼 로그인이 잦은 국내 사이트에서도 자동 입력이 매끄럽게 동작한다는 평가가 많습니다. 다만 원래는 삼성 인터넷 브라우저·갤럭시 기기 안에서만 동작해 PC에서 크롬을 쓰면 무용지물이었는데, 최근 나온 삼성 인터넷 브라우저 PC(윈도우 10 1809 이상·윈도우 11)용 정식 버전을 설치하면 PC 자동 완성도 가능해졌습니다. 다만 이 역시 삼성 인터넷 브라우저 안에서만 동작해, 크롬·엣지를 함께 쓴다면 여전히 제약이 남습니다.

• 완전 무료, 추가 앱 설치·결제 불필요
• 갤럭시 기기 지문·얼굴 인식 연동
• 네이버·쿠팡 등 국내 사이트 자동 입력 호환성 양호
• 삼성 인터넷 브라우저(모바일+최근 PC 버전) 밖에서는 사용 불가

Apple Passwords — 아이폰·맥 사용자라면 이미 있다

Apple Passwords는 애플이 iOS 18(2024년 출시)부터 기본 제공하는 완전 무료 비밀번호 관리 기능으로, 기존 아이클라우드 키체인을 독립 앱으로 재구성한 것입니다. Apple ID로 로그인만 하면 별도 설치나 결제 없이 아이폰·아이패드·맥·애플워치 전 기기에서 비밀번호·패스키·Wi-Fi 비밀번호·인증코드(2FA)까지 자동 동기화됩니다. 윈도우 PC용 아이클라우드 연동은 지원되지만 안드로이드 기기에서는 사용할 수 없습니다.

• 완전 무료, iOS 18·macOS Sequoia부터 기본 탑재
• 아이폰·아이패드·맥·애플워치 간 아이클라우드 자동 동기화
• 비밀번호·패스키·Wi-Fi 비밀번호·인증코드(2FA) 통합 관리
• 윈도우용 아이클라우드 연동 지원, 안드로이드는 미지원

삼성패스와 Apple Passwords는 둘 다 완전 무료지만, 딱 하나 자기 기기 생태계를 벗어나면 무용지물이라는 한계를 공유합니다. 안드로이드와 아이폰을 함께 쓰거나, 가족 구성원이 서로 다른 기기를 쓰거나, 유출 감시 같은 부가 기능이 필요하다면 아래 두 앱을 검토할 차례입니다.

비트워든(Bitwarden) — 무료로도 충분한 오픈소스 표준

비트워든의 개인 무료 요금제는 등록 기기 수와 저장 비밀번호 개수에 제한이 없고, 패스키(passkey, 지문·얼굴 인식 등 기기 자체 인증으로 비밀번호 없이 로그인하는 FIDO 표준 기반 인증 방식) 저장도 지원합니다. 소스코드가 공개된 오픈소스 구조라 보안 검증이 상대적으로 투명한 것도 특징입니다. 다만 비트워든 앱 자체가 6자리 코드를 생성해주는 내장 TOTP 인증기(Time-based One-Time Password, 30초마다 바뀌는 일회용 인증번호를 생성하는 표준 방식) 기능은 프리미엄부터 제공되는 유료 전용 기능입니다. 별도 인증 앱으로 2단계 인증을 받는 것은 무료로 가능합니다.

• 등록 기기 수·저장 비밀번호 개수 무제한
• 패스키 저장 지원
• 인증 앱을 통한 2단계 인증(2FA) 로그인 무료 지원
• 내장 TOTP 인증기는 프리미엄 전용

비트워든 프리미엄 요금은 2026년 기준 해외 요금으로 개인 연 19.80달러(월 1.65달러), 가족 공유(최대 6명) 연 47.88달러(월 3.99달러)입니다. 결제 시점 환율과 카드사 해외 결제 수수료에 따라 원화 청구액은 달라질 수 있으므로, 결제 전 공식 홈페이지에서 최종 금액을 확인하는 것이 안전합니다.

1Password — 유료지만 편의 기능이 강한 상용 앱

1Password는 비트워든과 달리 영구 무료 요금제가 없고 14일 무료 체험만 제공합니다. 그럼에도 국내 후기·커뮤니티에서 자주 추천되는 이유는 완성도 높은 편의 기능 때문입니다.

• Watchtower — 저장된 비밀번호가 유출 데이터베이스에 등장하는지, 카드나 여권 만료일이 다가오는지까지 상시 감시해 알려주는 기능
• 여행 모드(Travel Mode) — 국경을 넘기 전 민감한 볼트를 기기에서 완전히 제거해 숨기고, 안전한 곳에 도착하면 한 번에 복원하는 기능
• 가족 구성원 초대·볼트 공유 기능이 세밀하게 설계돼 있음

1Password 요금은 2026년 기준 해외 요금으로 개인 연간 결제 시 월 2.99달러(월간 결제는 월 3.99달러), 가족 요금제(최대 5명)는 연간 결제 시 월 4.49달러(월간 결제는 월 5.99달러)입니다. 무료 요금제는 없고 14일 무료 체험만 제공됩니다.

상황별로 한 줄 정리

요금제 한눈에 비교

비밀번호 관리앱, 설치 후 첫 할 일

1. 크롬 설정 → 자동 완성 및 비밀번호 → 비밀번호 관리자에서 저장된 목록을 CSV 파일로 내보냅니다.
2. 새로 선택한 비밀번호 관리앱에 가입하고, 재사용하지 않은 새 조합으로 마스터 비밀번호를 설정합니다.
3. 관리앱의 가져오기(import) 기능으로 크롬에서 받은 CSV 파일을 불러옵니다.
4. 가져오기가 끝나면 크롬 설정에서 기존 저장 비밀번호를 삭제하고 자동 저장 기능도 꺼둡니다.
5. PC와 스마트폰 양쪽에 브라우저 확장 프로그램과 모바일 앱을 모두 설치해 자동 입력을 활성화합니다.
6. 비밀번호 강도 점검 기능으로 중복·취약 비밀번호를 찾아 하나씩 새 비밀번호로 교체합니다.

비밀번호 관리앱 사용 시 흔한 실수

• 마스터 비밀번호를 다른 사이트와 동일하게 만들거나 쉬운 패턴으로 설정하는 것
• 가입 시 발급되는 복구 키(recovery key)를 저장하지 않아, 비밀번호를 잊으면 볼트 전체에 영구히 접근하지 못하는 것
• 브라우저 확장 프로그램만 설치하고 모바일 앱은 설치하지 않아, 폰에서는 여전히 손으로 입력하는 것
• 관리앱 계정 자체에 2단계 인증을 걸어두지 않는 것 — 마스터 비밀번호가 유출되면 2FA 없이는 막을 방법이 없습니다

자주 묻는 질문

Q. 대시레인이나 라스트패스는 왜 다루지 않나요?

두 서비스 다 해외에서는 잘 알려져 있지만 국내 후기·커뮤니티에서는 거의 언급되지 않습니다. 대시레인은 개인용 무료 요금제 자체가 폐지돼 가입 즉시 14일 체험 후 유료 결제로 전환되고, 라스트패스는 무료 요금제가 있지만 모바일 또는 PC 중 한 가지 기기 유형으로만 사용을 제한합니다. 이미 국내에서 검증된 대안(비트워든·1Password·삼성패스·Apple Passwords)이 있어 이 글에서는 다루지 않았습니다.

Q. 삼성패스는 아이폰에서도 쓸 수 있나요?

아이폰에서는 삼성패스를 쓸 수 없습니다. 삼성패스는 갤럭시 기기와 삼성 계정에 종속된 기능이라, 아이폰에서는 애플이 기본 제공하는 무료 Passwords 앱을 쓰거나, 안드로이드 기기를 함께 쓴다면 비트워든이나 1Password처럼 플랫폼과 무관하게 동작하는 앱을 선택해야 합니다.

Q. 아이폰에서는 어떤 비밀번호 관리앱이 좋나요?

아이폰과 맥만 쓴다면 애플이 iOS 18부터 기본 제공하는 무료 Passwords 앱으로 충분합니다. 별도 앱 설치나 결제 없이 Apple ID만으로 아이폰·아이패드·맥·애플워치 간 비밀번호가 자동 동기화됩니다. 다만 안드로이드 기기를 함께 쓰거나 가족과 다른 생태계를 공유한다면 비트워든처럼 플랫폼과 무관하게 동작하는 앱이 더 유리합니다.

Q. 크리덴셜 스터핑이 정확히 뭔가요?

한 사이트에서 유출된 아이디·비밀번호 조합을 공격자가 다른 여러 사이트에 자동으로 대입해보며 로그인을 시도하는 공격입니다. 여러 사이트에 같은 비밀번호를 재사용하고 있을 때 성공률이 높아지므로, 계정마다 다른 비밀번호를 쓰는 것이 가장 효과적인 방어입니다.

Q. Have I Been Pwned에서 "유출 없음"이 나오면 안전한 건가요?

완전히 안전하다고 보기는 어렵습니다. 이 서비스는 이미 공개적으로 알려진 유출 데이터베이스만 대상으로 하므로, 아직 공개되지 않았거나 등록되지 않은 유출은 잡아내지 못합니다. 결과와 무관하게 비밀번호 관리앱으로 전환해 계정마다 다른 비밀번호를 쓰는 것이 안전합니다.

Q. 1Password는 무료로 써볼 방법이 전혀 없나요?

영구 무료 요금제는 없지만 14일 무료 체험을 신용카드 등록 없이 이용할 수 있습니다. 체험 기간 안에 결제하지 않으면 자동으로 요금이 청구되지 않고 체험이 종료됩니다.

Q. 비트워든 무료 요금제에서도 2단계 인증을 쓸 수 있나요?

네. 구글 OTP, Authy 같은 별도 인증 앱을 이용한 2단계 인증 로그인은 무료 플랜에서도 계속 지원됩니다. 다만 비트워든 앱 자체가 6자리 코드를 생성해주는 내장 TOTP 인증기 기능은 프리미엄부터 제공됩니다.

Q. 비밀번호 관리앱을 바꾸면 기존에 저장된 비밀번호는 어떻게 되나요?

대부분의 관리앱은 CSV 등 표준 형식으로 내보내기·가져오기 기능을 제공하므로, 기존 브라우저나 다른 앱에 저장된 비밀번호를 새 앱으로 그대로 옮길 수 있습니다. 다만 내보낸 파일은 암호화되지 않은 평문일 수 있으므로 이전 작업이 끝나면 즉시 삭제하는 것이 안전합니다.

참고자료

• Bitwarden 공식 요금 안내(Pricing)
• 1Password 공식 개인·가족 요금제 안내
• Apple 공식 지원 문서 — Passwords 앱 사용법
• Have I Been Pwned — 유출 이력 무료 조회